Ein Passkey ist ein digitaler Schlüssel, mit dem man sich ohne Passwort bei Websites und Apps anmelden kann. Statt sich ein Passwort zu merken, nutzt der Besucher seinen Fingerabdruck, Gesichtserkennung oder eine PIN auf dem eigenen Gerät. Für Unternehmer und Websitebetreiber bedeutet das weniger gestohlene Konten durch Phishing, weniger Supportanfragen zu „Passwort vergessen“ und ein einfacheres, sichereres Anmeldeerlebnis für Kunden.
Was genau ist ein Passkey?
Ein Passkey basiert auf einem kryptografischen Schlüsselpaar: einem öffentlichen Schlüssel, der bei der Website gespeichert wird, und einem privaten Schlüssel, der das Gerät des Nutzers niemals verlässt. Beim Einloggen weist das Gerät nach, dass es den zugehörigen privaten Schlüssel besitzt, ohne diesen preiszugeben. Der Nutzer entsperrt diesen Vorgang mit Biometrie (Fingerabdruck oder Gesicht) oder einer Geräte-PIN. Da kein gemeinsames Geheimnis mehr übers Internet übertragen wird, gibt es schlicht nichts mehr abzufangen oder zu erraten.
Passkeys basieren auf offenen Standards (WebAuthn/FIDO2) und funktionieren inzwischen in den meisten modernen Browsern und Betriebssystemen. Sie können über einen Passwortmanager oder eine Gerätecloud synchronisiert werden, sodass ein Nutzer denselben Passkey auf mehreren Geräten verwenden kann.
Warum sind Passkeys sicherer als Passwörter?
Passwörter sind der schwächste Punkt der meisten Sicherheitsprobleme. Nutzer verwenden sie mehrfach, wählen sie zu einfach oder werden damit über nachgebaute Login-Seiten gephisht. Passkeys lösen diese Probleme strukturell:
- Phishing-resistent: Ein Passkey funktioniert nur auf der echten Website, für die er erstellt wurde – eine Fake-Seite kann damit nichts anfangen.
- Keine Wiederverwendung: Jeder Passkey ist pro Dienst einzigartig, sodass ein Datenleck bei einer Website andere Konten nicht betrifft.
- Nichts zu merken: Nutzer können kein schwaches Passwort wählen, weil es gar kein Passwort gibt.
- Weniger Kontoübernahmen: Ohne gemeinsames Geheimnis gibt es bei einem Server-Einbruch kein Passwort zu stehlen.
Für Websitebetreiber bedeutet das ein geringeres Risiko kompromittierter Kundenkonten und weniger Zeitaufwand für die Behandlung gehackter Logins.
Was bedeutet das für deine Website oder deinen Webshop?
Hast du eine Website mit Kundenportal, einem Webshop mit Konten oder einem Mitgliederbereich, wirkt sich die Wahl für Passkeys direkt auf Benutzerfreundlichkeit und Sicherheit aus. Kunden loggen sich schneller ein, springen seltener wegen eines vergessenen Passworts ab und laufen weniger Risiko, Opfer eines Kontodiebstahls zu werden. Das führt zu weniger Support-Tickets und einem vertrauenswürdigeren Auftritt.
Wichtig ist, dass Passkeys eine Ergänzung zu deinem bestehenden Login-System sind, nicht automatisch ein Ersatz. Die meisten Plattformen bieten Passkeys zusätzlich zu Passwörtern an, sodass Nutzer selbst umsteigen können. Auch E-Mail-Sicherheit bleibt relevant: Sorge dafür, dass deine geschäftliche E-Mail gut abgesichert ist, denn E-Mail ist oft noch der Schlüssel zur Passwort- und Kontowiederherstellung bei anderen Diensten.
Wie fängst du mit Passkeys an?
Die Implementierung von Passkeys erfordert Anpassungen an der Login-Funktionalität deiner Website oder deines Webshops. Nutzt du Standardsoftware wie WordPress, WooCommerce oder ein anderes CMS, prüfe, ob ein gepflegtes Plugin oder Modul verfügbar ist, das WebAuthn/FIDO2 unterstützt. Baust du eine individuelle Lösung, lässt sich Unterstützung für Passkeys mit den aktuellen Browserstandards gut realisieren.
Inventarisiere dein Login-System
Stelle fest, welches CMS, Framework oder Shop-Plattform du nutzt und ob bereits Unterstützung für Passkeys besteht.
Wähle eine bewährte Lösung
Nutze ein gepflegtes Plugin oder eine Bibliothek, statt selbst Kryptografie zu entwickeln; das verhindert Sicherheitsfehler.
Sorge für ein gültiges SSL-Zertifikat
WebAuthn funktioniert nur über eine gesicherte Verbindung. Prüfe, dass deine Website ein gültiges SSL-Zertifikat hat, zum Beispiel über Plesk in deiner Hostingumgebung.
Biete Passkeys als Wahlmöglichkeit an
Lass Nutzer selbst zwischen Passwort und Passkey wählen, damit der Umstieg reibungslos verläuft.
Teste auf mehreren Geräten
Prüfe den Login-Ablauf auf verschiedenen Browsern, Smartphones und Computern, bevor du live gehst.
Eine stabile, schnelle Hostingumgebung mit aktueller Software ist die Grundlage für jede moderne Sicherheitsfunktion. Überlegst du, zu einem Anbieter zu wechseln, der dies reibungslos unterstützt, schau dir Wechsel zu Tandata an oder entdecke die Möglichkeiten von Webhosting mit aktuellen PHP-Versionen und kostenlosem SSL.
Häufig gestellte Fragen
Muss ich Passwörter komplett abschaffen?
Nein, die meisten Websites bieten Passkeys zusätzlich zu Passwörtern an. Nutzer können selbst wählen, welche Methode sie verwenden.
Funktionieren Passkeys auf jedem Gerät?
Passkeys funktionieren auf den meisten modernen Browsern, Smartphones und Computern. Ältere Geräte oder Browser bieten möglicherweise keine Unterstützung.
Was passiert, wenn jemand sein Smartphone verliert?
Da Passkeys oft über ein Konto oder einen Passwortmanager synchronisiert werden, kann der Nutzer nach Verifizierung auf einem neuen Gerät wieder Zugang erhalten.
Ist ein Passkey dasselbe wie Zwei-Faktor-Authentifizierung?
Nicht ganz. Ein Passkey kombiniert Besitz (das Gerät) und Biometrie oder PIN in einem Schritt, während Zwei-Faktor-Authentifizierung meist ein separates Passwort mit einem zusätzlichen Code kombiniert.
Brauche ich spezielles Hosting für Passkeys?
Du brauchst vor allem ein gültiges SSL-Zertifikat und aktuelle Software. Eine Hostingumgebung mit NVMe-Speicher und aktuellen PHP-Versionen macht die Implementierung einfacher und schneller.
Fazit
Passkeys machen das Anmelden sicherer und benutzerfreundlicher, indem sie Passwörter durch Biometrie und Geräteverifizierung ersetzen. Für Unternehmer bedeutet das weniger Phishing-Risiko, weniger Supportanfragen und einen moderneren Auftritt. Beginne damit, Passkeys zusätzlich zu bestehenden Passwörtern anzubieten, sorge für ein gültiges SSL-Zertifikat und teste den Login-Ablauf gründlich, bevor du live gehst.